Wêrom't IKEv2 op Android mislearret op in net-standert UDP-poarte

In eigen IKEv2-formulier nimt in adres, gjin poarte. Kontrolearje dat de klant it stipet, set beide serverpoarten, en sjoch dan nei de framing en de logboeken.

De gateway antwurdet op IKEv2 op UDP 4443 om in reden, it profyl hat in fjild mei de namme Server, jo typen de hostnamme en de poarte, en de telefoan meldt dat er de server net berikke kin of it adres net oplosse kin. Der wurdt neat blokkearre. It eigen Android-formulier ferwachtet in host, en itselde jildt op Windows. In oanpaste poarte is in klantmooglikheid foardat it in serverynstelling is, en allinnich guon klanten litte jo it útdrukke. Wurklei de trije dielen yn folchoarder troch: wat de klant sizze kin, wêrop't de server harket, en oft beide kanten de pakketten op deselde wize frame.

Wat de telefoan feitlik stjoerde

In host:poarte-string yn in fjild dat foar in namme bedoeld is, wurdt as namme oplost. De oplosser jout neat werom foar vpn.example.net:4443, en de flater dy't jo sjogge is in namme-oplossings- of ûnberikberheidsflater, net in tiidferrin op in poarte. Dat ferskil is wichtich, want opnij besykje mei in koartere namme of in oar netwurk sil nea in string reparearje dy't it formulier net parse kin.

It eigen IKEv2-profyl op Android, lykas de ynboude Windows VPN-klant, is fêstset op de standert IKE-poarten. Gjin fan beide toant in poartefjild, en gjin profylbewurking foeget der ien ta. As de listener fan de operator wier op 4443 stiet, is de ynboude klant it ferkearde ark, net in ferkeard konfigurearre.

Brûk in klant dy't de poarte toant

De strongSwan-klant foar Android dokumintearret in konfigurearbere serverpoarte yn de útwreide profylynstellingen, dêrom komt er yn hast elk wurkjend resept foar dit ûntwerp foar. Dy stipe heart by dy klant: in oare IKEv2-app, of in leveransiersfork fan deselde app, toant it fjild miskien net, ek al stipet de ûnderlizzende strongSwan-daemon it.

Freegje de operator om de hiele set tagelyk: gatewaynamme, UDP-poarte, autentikaasjemetoade en de serveridentiteit dy't de klant ferwachtsje moat. In oanpaste poarte is gjin reden om sertifikaatkontrôle út te skeakeljen of protokollen te feroarjen. Fier de poarte yn wêr't de ynstalleare klant him ferwachtet, en as dy klant sa'n fjild net hat, is it antwurd in oare goedkarde klant en net in rieden omwei.

De server hat twa poarten, en beide moatte oerienkomme

IKE begjint op UDP 500, en NAT-trochgong ferpleatst IKE en ynkapsulearre ESP meastentiids nei UDP 4500. Dat binne aparte ynstellingen yn strongSwan, dus in server dy't nei ien oanpaste poarte ferpleatst is, moat beide nei deselde wearde feroarje:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Mei ien poarte foar beide rollen moat de daemon IKE fan ESP-yn-UDP op deselde socket ûnderskiede, wat er docht mei de fjouwer-byte-markearring dy't gjin ESP is en foar in IKE-berjocht komt. Dêrom kin in klant net op de oanpaste poarte ûnderhannelje en dan stil fierder gean op 4500, en dêrom ferberget de sin “feroarje gewoan de poarte” in eask foar framing.

In trochstjoering is gjin listener

Trochstjoering fan 4443 nei in gewoane IKE-listener is de flatermodus dy't hast suksesfol liket. De earste útwikseling komt oan, de server antwurdet, en dan stûket de ferbining of fernijt kaaien nei neat, omdat it antwurd fan in oare poarte fuortgiet en it lettere ynkapsulearre ferkear nea past by de tastân dy't de beide kanten makke hawwe. In regel dy't de bestimmingspoarte oerskriuwt sûnder de listener te ferpleatsen, jout krekt dit heal-iepen resultaat.

It paad moat ek UDP fan ein oant ein tastean litte. Dat TCP 443 troch in hotel- of operatornetwurk komt, seit neat oer IKEv2 op in UDP-poarte, sels net mei itselde nûmer. Wêr't allinnich TCP 443 tastien is, makket in oanpaste UDP-poarte fan IKEv2 gjin HTTPS, en it goede antwurd kin in oar tagongspaad wêze ynstee fan noch in poarteprobeersel.

Skied de trije fazen by it testen

Nim op de server op wylst de klant ien kear besiket. In fersyk dat nea oankomt is in fraach fan einpunt of firewall; in fersyk dat oankomt sûnder antwurd is in fraach fan listener of belied; in antwurd folge troch stilte is de fraach fan framing of identiteit.

tcpdump -ni eth0 -vv udp port 4443

Lês dan it berjocht fan de klant ynstee fan syn draaiende yndikator. In foarstel-flater betsjut dat de algoritmen net oerienkomme, in autentikaasjeflater betsjut dat identiteiten of sertifikaten net oerienkomme, en werhelle werstjoeringen sûnder antwurd betsjutte dat neat op dy poarte antwurdet. Test ien faze tagelyk en feroarje ien fjild tusken besikings; de strongSwan-dokumintaasje oer NAT-trochgong beskriuwt de markearring en it poartgedrach dat de opname jo sjen lit.

Relatearre artikelen